Mach ich mich angreifbar?

Im worst case könnte der MQTT Container kompromittiert werden. Werden die regelmässig gewartet/gepflegt? hängt der IP technisch in einer "DMZ" (eigenes VLAN), oder mit all deinem anderen Kram zusammen?

Du kannst davon ausgehen, dass der IPv4-Adressraum im Internet ständig und ununterbrochen gescannt wird. Dein zusätzlicher MQTT-Server kann und wird nun also entdeckt werden, da ist es keine Frage des "ob", sondern nur des "wann".
Jetzt ist ganz einfach die Frage, ob dieser Server irgendwelche Härtungen gegen unbefugten Zugriff hat, also Fail2Ban, eine eigene Firewall oder solche Sachen. Was meinst Du genau mit "es werden weder Zertifikate noch Authentifizierung gefordert"? Man kann sich einfach passwortlos auf den Server einloggen?

Das Ding stets auf aktuellsten Stand zu halten ist eine Grundvoraussetzung, wie lelei schon andeutete. Das Ganze in eine DMZ zu packen schützt zwar nicht davor, dass Dir der Server unterm Hintern weggezogen wird, aber zumindest ist es dann für den Angreifer nicht trivial möglich, sich weiter in Deinem Netz auszubreiten.

Vielleicht doch noch Mal über ein VPN nachdenken.

Vielleicht einen Raspberry mit MQTT-Server und VPN Client dort deponieren. Es würde vielleicht auch reichen, die Daten von dem Server per Sftp abholen.

Quote from daujens

mache ich mich/mein Netzwerk angreifbar durch diese Konstellation weil weder Zertifikate noch Authentifizierung gefordert werden?

ich würde das mit einem dicken JA beantworten. Ja, Du machst Dich angreifbar, da Du mindestens drei wichitge Regeln missachtest.

• du stellst den Server ohne Not ins Internet. Das ist nichts öffentliches, also gibt es keinen Grund dafür.
• du verzichtest auf Grundschutz (Zertifikate, Passwörter etc.), geht gar nicht
• du machst keine Netzwerktrennung.

Alles zusammen aus meiner Sicht ein völliges no-go.

Quote from daujens

Der Container hängt im allgemeinen Netz mit drin da Synology-Docker und VLAN nicht miteinander können, habe zumindest nichts in der Richtung gefunden. Lasse mich aber gerne eines Besseren belehren.

ich habe den Server, auf welchem Docker läuft im Haupt-VLAN, einzelne Container aber im IoT VLAN, z.B. HomeAssistant welcher mit den IoT Devices kommunizert. Gemacht über macvlan mit festen IPv4 Adressen und Mac Adressen.

Ob das eine 100% saubere Trennung - netzwerktechnische Härtung wie bei versch. VLANs auf versch Switch-Ports - ist, weiß ich nicht aber es ist aufjeden Fall etwas

Auf gar keinen Fall! Niemals nie nie nie einen MQTT Server völlig ungesichert ins Netz hängen! Oh man, ehrlich, das ist mehr als dumm (sorry). Entweder VPN oder per proxy, fail2ban und Passwort sichern.

Viele Sicherheitslücken sind schlicht Lücken die entstehen, weil es Programmierfehler gibt.

Entweder wird irgendwas gar nicht behandelt oder frhlerhaft in bestimmten Fällen. Das kann dann sogar einfach nur ein falsches Vorzeichen sein das Jahre im Code schlummert.

Prinzipiell wird bei heutigen Angriffen oft versucht mit bestimmten Daten, Anfragen. Eingaben ein solch fehlerhaftes Verhalten zu provozieren. Hat man Erfolg, hat man plötzlich höhere Rechte, kann Code ausführen oder eine weitere Angriffsstufe zünden.

Was ganz real passieren kann? Von nichts bis zum absoluten Supergau mit völligem Datenverlust, ist alles denkbar. Hat ein Angreifer erstmal einen Fuß im Netzwerk, stehen die Chancen gut, sich im LAN mittels weiterer Lücken von Gerät zu Gerät zu hangeln.

Quote from daujens

lso gibt es von der direkten Route UDM->Docker->MQTT-Container keine Abweichmöglichkeit.

wenn dem so wäre, gäb es (fast) keine Security Probleme mehr. Wie DoPe schon geschrieben hat, geht es immer um fehlerhaften Programmcode, Lücken, die ausgenutzt werden können. Und diese Fehler und Lücken wird es auf jedem Schritt Deiner "sicheren Kette" geben. Je "tiefer" Du Zugriffe in Dein Netz erlaubts, um so mehr Möglichkeiten für Fehler/Möglichkeiten zum Einbruch gibt es.

Die "Signal-Affäre" im Bundestag ist eher die Ausnahme, da waren es einfach nur doofe User, die Ihre Zugangsdaten (im guten Glauben....) freiwillig an die Angreifer übermittelt haben. Der überwiegende Teil aller Angriffe ist immer das Ausnutzen von Programmlücken. Und da zählt auch das oft gehörte "für mich interessiert sich doch keiner" nicht, da solche Angriffe zwischenzeitlich voll automatisiert laufen. Und dann Daten Kopiert und oder verschlüsselt werden. Und das macht auch für Privatpersonen massiven Ärger.

Lange Rede, kurzer Sinn: Dein gedanklicher Ansatz, warum das eigentlich alle sicher ist, geht in die völlig falsche Richtung und wiegt Dich in einer Sicherheit, die es real nicht gibt.

Schau die einfach mal das Thema Cybersecurity auf den Unifi devices an.

User mit Zugriff aufs Netzwerk kann voll Zugriff erlangen....

Bei dir, jeder hat Zugriff auf deinen Container. Das heißt falls in deinem Container auch Sicherheitslücken sind, kann ein Angreifer evtl auf das darunterliegende OS, somit dein NAS und dann hast du Spaß.

Jeder Dienst der aus dem Internet kommt sollte mindestens SSL und Passwortschutz haben.

Wobei SSL ja nur dafür sorgt, dass keine Daten unverschlüsselt übertragen werden. Vor Angriffen schützt das ansonsten nicht wirklich, war doch besagtes Vorzeichen seit Jahren genau in OpenSSL vorhanden

Man kann wohl davon ausgehen, das die Frage nicht mehr lautet ob in einem Softwareprodukt Lücken existieren, sondern wann diese jemand findet ...

Naja ich meinte SSL und Passwort, weil Passwort ohne SSL ist Passwort als einfacher Text, somit gar nicht geschützt. Nur in Kombination gibt es etwas Sicherheit.